PROJET AUTOBLOG


Reflets

Site original : Reflets

⇐ retour index

De la naissance de Kitetoa.com à Tati

Thursday 19 April 2018 à 11:28

En passant par l'IoT de l'espace

Ce que l'on peut lire dans la presse sur le hack est la partie émergée de l'iceberg. Le reste ne remonte quasiment jamais à la surface.

Logo Tati - Copie d'écran

Retour à la fin des années 90, début des années 2000… Je ne suis certainement pas associé à tout ce que font ces groupe qui m’accueillent dans leurs discussions (ADM, Rhino9, w00w00), mais j’ai le privilège de bêta-tester quelques uns de leurs outils. Je me souviens encore de Whisker, un script en perl de RFP qui deviendra par la suite Nikto. Rhino9 produit quelques outils très amusants qui permettent de repérer des failles liées à Windows et théorisées dans la fameux WarDoc que l’on trouve encore en ligne, comme une sorte de photographie sépia d’un passé lointain.

A force de lire Bugtraq et les publications des groupes de hackers dont je suis plus ou moins proche, je me met à vérifier si les serveurs Web que je consulte sont bien configurés où s’ils laissent fuiter les données personnelles qu’ils récoltent. Je me suis fixé un principe : pas de piratage. Mon seul outil : un navigateur Web.

Le temps passe, j’épingle dans des articles publiés sur mon site www.kitetoa.com une liste interminable de serveurs dont la configuration est plus qu’hasardeuse.

A chaque article, je me dis que c’est fini, que je ne trouverais pas pire. En fait, c’est l’inverse qui se passe. Sans m’en rendre compte je dresse une sorte de photographie des débuts du Web qui montre à quel point tout le monde faisait n’importe quoi, n’importe comment. Avec mes articles, je fais rire beaucoup de monde mais aussi, grincer pas mal de dents.

Le moment va venir où quelqu’un portera plainte. L’occasion de...

Telegram : DNS over Google

Tuesday 17 April 2018 à 16:14

Le domain fronting du pauvre

Pour se prémunir du blocage et de la censure, Telegram a mis en œuvre un système de contournement… Assez ébouriffant.

Dans un précédent épisode, nous vous expliquions qu'il allait être difficile pour la messagerie Telegram de contourner le blocage imposé par le sympathique Vladimir Poutine.

C'était aller un peu vite en besogne (personne n'est parfait), car nous avons depuis découvert dans le code source de l'application que des mesures de contournement avait en réalité déjà été mises en place : une sorte de domain fronting du pauvre.

En effet, lorsque, sur le terminal d'un utilisateur, l'application de messagerie ne parvient pas — à cause du blocage — à se connecter aux serveurs de Telegram via les adresses IP préconfigurées, elle émet des requêtes HTTP vers google.com pour récupérer une nouvelle liste d'adresses IP.

En réalité, la véritable destination des requêtes n'est pas google.com, mais dns.google.com ou dns-telegram.appspot.com. google.com ne fait que les relayer. On trouve aussi une seconde « facade » dans le code source de Telegram, en l'occurrence le centre de téléchargement de Microsoft (software-download.microsoft.com), mais contrairement à la première, nous n'avons pas réussi à la faire fonctionner.

Lorsque l'on interroge l'un de ces deux URL, Telegram nous renvoie un charabia, apparemment encodé en base 64. Vous pouvez essayer par vous même sur Appspot ou sur le service dns.google.com.

Une fois les données en base 64 décodées, nous nous retrouvons avec des données chiffrées grâce à la clé privée RSA de Telegram. Nous...

Les libertés en 2018 en France

Tuesday 10 April 2018 à 12:00

Qui aurait imaginé tout ça il y a quelques années ?

Les lois liberticides s’empilent dans une indifférence quasi générale, de façon graduelle et étalée dans le  temps. Toute la difficulté pour le citoyen français face à ces reculs démocratiques silencieux, réside dans une capacité à agir, se comporter et faire du sens dans une société radicalement différente de celle d’il y a quelques années. Synthèse des restrictions des libertés en France en 2018.

Gérard Collomb, un sacré numéro ! Le ministre de l'intérieur, le 12 septembre 2017, à l'Assemblée nationale, évoquait "la sortie de l'état de droit" au lieu de "la sortie de l'état d'urgence". Un très beau lapsus qui mérite d'être salué pour son honnêteté.

Qui aurait imaginé en 1993, après le dévoilement du scandale des écoutes de l’Elysée — où l’on découvrait que François Mitterrand avait fait écouter les communications téléphoniques de plusieurs célébrités pendant des années —que ce serait la population entière qui verrait ses communications potentiellement espionnées par les services de renseignement ou de police ?

Le respect du droit à la vie privée par l’Etat est pourtant inscrit dans la déclaration des droits de l’homme de 1948 et a été introduit dans la loi française en 1970.

Aucune disposition de la présente Déclaration ne peut être interprétée comme impliquant, pour un État, un groupement ou un individu, un droit quelconque de se livrer à une activité ou d'accomplir un acte visant à la destruction des droits et libertés qui y sont énoncés.

Cette liste de limitations pour empêcher l’Etat français de peser sur la vie privée et les libertés individuelles semble aujourd’hui bien lointaine. Petite synthèse de l’annulation ou de la restriction des libertés en 2018, qui — bien que tout à fait soumise à controverse ou contestation idéologique par ceux qui défendent certaines de ces mesures — n’en représente pas moins une réalité de société, avec ses règles et contraintes tout à fait nouvelles, comparées à quelques décennies — ou moins — en arrière :

Liberté de circuler : Si rien ne vous empêche de circuler, le contrôle par l’Etat de vos déplacements est lui, de plus en plus important. Les douanes volantes ou les...

Bombardement chimique en Syrie

Monday 9 April 2018 à 16:37

Des témoignages

Après le bombardement de Douma, une ville de la Ghouta orientale, en périphérie de Damas, les témoignages sur l'utilisation d'armes chimiques se font plus précis. Reste la problématique de l'attribution, mais le résultat abject est là.

Enfant traité après le bombardement - D.R.

AVERTISSEMENT : les images et les témoignages en provenance de Douma et publiés dans cet article peuvent choquer.

Après le bombardement samedi 7 avril de Douma, les témoignages affluent sur l'utilisation d'armes chimiques. La France et les Etats-Unis ont publié des communiqués pour condamner l'utilisation de telles armes. Douma est la dernière ville de la Ghouta orientale qui n'ait pas été reprise par les forces gouvernementales.

Carte de la périphérie de Damas - Google Maps - CC
Carte de la périphérie de Damas - Google Maps - CC

Les témoignages récoltés par les ONG et les journalistes laissent penser que ce bombardement d'armes chimiques est le fait des forces gouvernementales qui bénéficient du soutien de l'Iran et de la Russie. Toutefois, la situation locale de guerre civile engage à la prudence en termes d'attribution. Lors d'une précédente attaque sur la ville de Khan Cheikhoun, un premier rapport de l'ONU avait attribué le bombardement aux autorités de Damas tandis qu'un rapport final évitait de prendre parti en termes d'attribution. Un troisième, du MIT, laissait entendre quant à lui que l'attaque avait été lancée depuis une zone rebelle.

Au delà de l'attribution, l'attaque en elle-même est abjecte et les photos et vidéos que nous publions ci-dessous témoignent de l'horreur à laquelle les populations civiles sont confrontées. Les documents que nous publions ont été collectés par la journaliste Liseron Boudoul auprès de ses contacts sur place. Vous allez...

Depuis quand l'éducation nationale est-elle devenue une machine à effrayer les enfants ?

Friday 6 April 2018 à 15:56

Peut-on raisonnablement parler de terrorisme en cours préparatoire ?

Comment en est-on arrivé là ? Des enseignants qui parlent d'actes de terrorisme à des enfants de six ans ? Des exercices où les enfants doivent se cacher sous les tables ? L'apathie des parents est à la mesure se leur incapacité à regarder les actes terroristes en face...

Attentat du Bardo - D.R.

Le récent attentat de Trèbes a donné lieu à des explications par les enseignants en cours préparatoire. En voilà une idée géniale. Expliquer à des enfants de cinq ou six ans dont le monde est particulièrement fantasmatique qu'un méchant terroriste a tué des gens dans un supermarché, qu'un gentil gendarme a pris la place d'une otage mais que quand même, il est mort... On imagine la tête des enfants la prochaine fois que les parents leur feront franchir les portes d'un Super U pour les courses de la semaine...

Et pour couronner le tout, rien de mieux qu'un exercice de confinement. Allez les enfants, c'est un exercice, vous vous cachez sous les tables et surtout vous ne devez pas parler, on va fermer la porte de la classe à clef parce qu'un méchant intrus est dans l'école. Pour bien mettre tout le monde dans l'ambiance, le directeur de l'école joue le méchant terroriste et frappe comme un sourd à la porte de la classe. On avait très peur, on avait envie de crier mais la maîtresse avait dit qu'il ne fallait pas parler. Alors on a eu peur en silence. Il est plein de poésie et d'espoir ce monde que dépeint l'éducation nationale aux gamins.

A un âge où les enfants ne sont pas tout à fait sûrs de l'existence des dragons et des fées, leur expliquer qu'un homme tue les gens dans les supermarchés et que peut-être il pourrait venir tuer des enfants dans l'école, ça doit être très rassurant et très structurant.

Ecole,...